Nginx 不能用重定向而必须用 mirror 指令镜像可疑流量至沙箱，因重定向会暴露沙箱、破坏会话且攻击者可感知；mirror 异步复制完整请求，不干扰主服务，并通过 map 提前标记、internal 子请求安全转发。
Nginx 本身不支持“重定向”可疑流量到沙箱——因为重定向（如 return 302 或 rewrite ... redirect）是让客户端跳转，而沙箱不是面向用户的访问端点，不能也不该暴露给真实访客。真正可行、生产环境广泛采用的方式是：用 mirror 指令做异步镜像（copy），而非重定向（redirect）。
下面分三块说清楚怎么做：
为什么不能用重定向，而必须用 mirror
重定向会改变用户浏览器地址栏、触发二次请求、暴露沙箱地址、破坏原有会话，且攻击者能感知跳转并绕过。沙箱需要的是原始请求的完整副本（含 headers、body、method、URI），用于离线分析，不干扰主服务。Nginx 的 mirror 指令正是为此设计的：它在不阻塞主流程的前提下，异步发起一个完全相同的请求副本到指定 upstream，主响应照常返回。
识别哪些请求该镜像
关键是在请求进入时快速打标，依据可被 Nginx 原生解析的字段做轻量判断，常见有效特征包括：
-
User-Agent 含
sqlmap、nuclei、gobuster、dirsearch、acunetix等扫描器标识 - X-Forwarded-For 来自已知恶意 IP 段（如部分云厂商黑产出口段、历史攻击源段）
-
URI 路径或参数 包含
/wp-content/plugins/、../etc/passwd、.php?cmd=、/api/v1/login（配合限流标记） -
HTTP 方法 非常规方法如
PROPFIND、OPTIONS、PUT（若业务不用） -
高频行为 单 IP 在 1 分钟内对敏感路径（如
/admin、/phpmyadmin）请求 ≥5 次，可用limit_req预标记变量
配置镜像规则（推荐 map + mirror 组合）
不要在 location 中用 if 判断再 mirror（有执行顺序和变量作用域问题）。正确做法是：先用 map 提前生成一个布尔型开关变量，再在 location 中直接调用 mirror：
# http 块顶部定义
map $http_user_agent $is_suspicious_ua {
~*(sqlmap|nuclei|gobuster|dirsearch|acunetix) 1;
default 0;
}
<p>map $http_x_forwarded_for $is_malicious_ip {
~^(185.199.11[2-5].|147.182.1[6-9][0-9].) 1; # 示例段，按需替换
default 0;
}</p><p>map $uri $is_sensitive_path {
~^/(wp-content/plugins|phpmyadmin|.git|.env|config.php) 1;
default 0;
}</p><p>map $is_suspicious_ua$ is_malicious_ip$is_sensitive_path $mirror_flag {
~1 1;
default 0;
}</p><h1>upstream 指向你的沙箱服务（务必内网、鉴权、限速）</h1><p>upstream sandbox_backend {
server 10.10.20.50:8080;
}</p><h1>在实际处理 location 中启用镜像</h1><p>location / {
mirror /mirror;
mirror_request_body on; # 确保 POST body 也被复制
proxy_pass <a href="https://www.php.cn/link/4072c1d979190d2cd781f241908d3a73">https://www.php.cn/link/4072c1d979190d2cd781f241908d3a73</a>;</p><pre class="brush:php;toolbar:false;"># 镜像子请求专用 location
location = /mirror {
internal;
proxy_pass http://sandbox_backend$request_uri;
proxy_set_header X-Original-URI $request_uri;
proxy_set_header X-Original-UA $http_user_agent;
proxy_set_header X-Real-IP $remote_addr;
}}
注意：mirror 是异步非阻塞的，即使沙箱不可达或超时，主链路不受任何影响。
不复杂但容易忽略。
